شماره: IRCNE2014042145
تاريخ:15 /01/93
با توجه به يافته هاي محققان از شركت امنيتي Incapsula، مهاجمان از يك آسيب پذيري در سايت محبوب اشتراك گذاري ويدئو سوء استفاده كردند تا مرورگرهاي كاربران را براي استفاده در حملات انكار سرويس توزيع شده در حجم بالا ارتباط ربايي نمايند.
روز چهارشنبه اين حملات به علت وجود يك آسيب پذيري اسكريپت بين سايتي در اين وب سايت به وقوع پيوسته است. اين شركت امنيتي از ذكر نام اين وب سايت محبوب امتناع كرد.
رخنه هاي XSS به علت فيلتر نامناسب ورودي هاي كاربر به وجود مي آيد و مي تواند به مهاجم اجازه دهد تا كد اسكريپت غيرمجاز را به صفحات وب سايت تزريق نمايد. اگر اين كد به صورت دائمي بر روي سرور ذخيره شود و براي تمامي كاربراني كه سايت آلوده را مشاهده مي كنند، ارسال شود در نتيجه اين حملات به صورت حملات ماندگار در نظر گرفته مي شوند.
كاربران اين وب سايت اشتراك گذاري ويدئو مي توانند فايل هايي را ايجاد نمايند و توضيحاتي را ارائه دهند و اين رخنه XSS به مهاجمان اجازه مي دهد تا حساب كاربري جديدي ايجاد نمايند و كد جاوا اسكريپت جعلي را به تگ img عكس پروفايل خود تزريق نمايند.
در نتيجه هر زمان كه اين عكس در يكي از صفحات سايت مورد استفاده قرار گرفت، كد مخرب تعبيه شده در اين عكس پس از مشاهده اجرا مي شود.
كد جعلي يك iframe را توليد مي كند كه يك اسكريپت DDoS را از يك سرور كنترل و فرمان به مرورگر مشاهده كننده عكس بارگذاري مي كند و در نتيجه كنترل مرورگر ها را دراختيار گرفته و آن ها را مجبور مي كند تا درخواست هايي را به سايت هاي ديگر ارسال نمايند. نتيجه اين حملات عليه سايت هاي مورد هدف شامل 20 ميليون درخواست GET مي باشد كه توسط 22000 مرورگر دريافت مي شود و اين سايت ها در هر ثانيه حدود 20000 درخواست را دريافت مي كنند.
سوء استفاده از آسيب پذيري XSS براي راه اندازي حملات انكار سرويس توزيع شده، روش جديدي نيست. اين روش ساليان سال شناخته شده است اما به ندرت از آن استفاده مي شود زيرا نيازمند آسيب پذيري در وب سايت هايي است كه ترافيك بالايي دارند.
- 6